php，filter_var或htmlentities中的URL过滤

Question

对于安全的URL查询，什么更安全？ filter_var（$ string，FILTER_SANITIZE_SPECIAL_CHARS）或htmlentities ？

Answer 1

第一个显然是为了这个目的而设计的。

Answer 2

你在防守什么？ 漏洞很大程度上取决于数据的使用方式。 它不可能创建一个防止一切的函数调用，混合保护系统（如xss和sql注入）是一个非常糟糕的主意。

对于XSS，您应该使用： htmlspecialchars($var, ENT_QUOTES);

对于mysql中的Sql Injection，你应该使用mysql_real_escape_string($var);

如果要将用户输入传递给system()或其他类似函数，则应使用escapeshellarg($var);

这些是前三名，混合这些只会造成问题。